{"id":100875,"date":"2021-07-30T16:22:41","date_gmt":"2021-07-30T14:22:41","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/46-python-paketov-v-repozitorii-pypi-soderzhat-potenczialno-nebezopasnyj-kod"},"modified":"2021-07-30T16:22:41","modified_gmt":"2021-07-30T14:22:41","slug":"46-python-paketov-v-repozitorii-pypi-soderzhat-potenczialno-nebezopasnyj-kod","status":"publish","type":"post","link":"https:\/\/prohoster.info\/ro\/blog\/news\/46-python-paketov-v-repozitorii-pypi-soderzhat-potenczialno-nebezopasnyj-kod","title":{"rendered":"46% dintre pachetele Python din depozitul PyPI con\u021bin cod poten\u021bial nesigur","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Un grup de cercet\u0103tori de la Universitatea Turku (Finlanda) a publicat rezultatele analizei pachetelor din depozitul PyPI \u00een ceea ce prive\u0219te utilizarea construc\u021biilor poten\u021bial periculoase, care ar putea duce la apari\u021bia unor vulnerabilit\u0103\u021bi. \u00cen cadrul analizei, 197 de mii de pachete au fost identificate cu 749 de mii de probleme poten\u021biale de securitate. \u00cen 46% dintre pachete exist\u0103 cel pu\u021bin o problem\u0103 de acest tip. Printre cele mai frecvente probleme se num\u0103r\u0103 neglijen\u021bele legate de procesarea excep\u021biilor \u0219i utilizarea posibilit\u0103\u021bilor care permit substituirea codului. <\/p>\n
Dintre cele 749 de mii de probleme identificate, 442 de mii (41%) sunt marcate ca fiind minore, 227 de mii (30%) ca probleme de gravitate moderat\u0103 \u0219i 80 de mii (11%) ca fiind periculoase. Unele pachete ies \u00een eviden\u021b\u0103 \u0219i con\u021bin mii de probleme: de exemplu, \u00een pachetul PyGGI au fost identificate 2589 de probleme, \u00een principal legate de utilizarea construc\u021biei \u201etry-except-pass\u201d, iar \u00een pachetul appengine-sdk au fost g\u0103site 2356 de probleme. Un num\u0103r mare de probleme sunt, de asemenea, prezente \u00een pachetele genie.libs.ops, pbcore \u0219i genie.libs.parser. <\/p>\n
Se cuvine s\u0103 men\u021bion\u0103m c\u0103 rezultatele au fost ob\u021binute pe baza unui analiz\u0103 static\u0103 automatizat\u0103, care nu ia \u00een considerare contextul utiliz\u0103rii anumitor construc\u021bii. Dezvoltatorul instrumentului bandit, care a fost utilizat pentru scanarea codului, a exprimat opinia c\u0103, din cauza num\u0103rului relativ mare de alarme false, rezultatele verific\u0103rii nu pot fi considerate direct vulnerabilit\u0103\u021bi f\u0103r\u0103 o revizuire manual\u0103 suplimentar\u0103 a fiec\u0103rei probleme. <\/p>\n
De exemplu, analizatorul consider\u0103 problem\u0103 de securitate utilizarea generatorilor nesiguri de numere aleatoare \u0219i algoritmelor de hashing, cum ar fi MD5, \u00een timp ce \u00een cod aceste algoritme pot fi utilizate \u00een scopuri care nu afecteaz\u0103 securitatea. De asemenea, analizatorul consider\u0103 problem\u0103 orice procesare a datelor externe \u00een func\u021bii nesigure, cum ar fi pickle, yaml.load, subprocess \u0219i eval, dar utilizarea respectiv\u0103 nu este \u00eentotdeauna asociat\u0103 cu apari\u021bia unei vulnerabilit\u0103\u021bi, iar aplicarea acestor func\u021bii poate fi realizat\u0103 f\u0103r\u0103 a prezenta amenin\u021b\u0103ri de securitate. <\/p>\n
Printre verific\u0103rile utilizate \u00een studiu: <\/p>\n
Utilizarea generatorilor de numere pseudo-aleatoare \u00een sarcini criptografice.\n
Folosirea protocolului Telnet.\n
Folosirea parser-elor XML nesigure. <\/ul>\n
De asemenea, se poate observa descoperirea a 8 pachete malware \u00een directorul PyPI. \u00cenainte de a fi eliminate, pachetele problematice au fost desc\u0103rcate de peste 30.000 de ori. Pentru a ascunde activitatea mali\u021bioas\u0103 \u0219i a ocoli avertiz\u0103rile analizatorilor statici simpli, \u00een pachete s-a folosit codificarea blocurilor de cod prin Base64 \u0219i execu\u021bia acestora dup\u0103 decodare prin apelul eval. <\/p>\n
\u00cen pachetele noblesse, genesisbot, are, suffer, noblesse2 \u0219i noblessev2 a fost descoperit cod pentru interceptarea numerelor de carduri de credit \u0219i parolelor salvate \u00een browserele Chrome \u0219i Edge, precum \u0219i pentru transmiterea tokenilor de cont din aplica\u021bia Discord \u0219i trimiterea de date despre sistem, inclusiv capturi de ecran ale con\u021binutului ecranului. \u00cen pachetele pytagora \u0219i pytagora2 s-a g\u0103sit capacitatea de a desc\u0103rca \u0219i executa cod executabil ter\u021b. \n Sursa: opennet.ro<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"